Il gruppo Kimsuky della Corea del Nord sta integrando l’intelligenza artificiale e i large language model nei propri flussi di lavoro per gli attacchi informatici, migliorando in modo significativo la velocità, la scala e la credibilità delle operazioni di phishing e social engineering rivolte a organizzazioni del settore delle criptovalute e della finanza.

L’evoluzione rappresenta un cambiamento rilevante per questo attore di spionaggio legato allo Stato, che si sta orientando verso strumenti assistiti dall’IA progettati per compromettere obiettivi finanziari di alto valore.

L’integrazione dell’IA nella pratica

Kimsuky, monitorato anche dai ricercatori con nomi come Thallium e Velvet Chollima, è un gruppo di cyber-spionaggio collegato alla Corea del Nord attivo almeno dal 2012, con una storia ben documentata di phishing mirato e furto di credenziali contro think tank, istituzioni accademiche, enti governativi e organizzazioni del settore finanziario. I ricercatori di sicurezza di Genians hanno analizzato il modo in cui il gruppo incorpora strumenti di IA generativa nelle proprie operazioni.

In termini operativi, integrare l’IA significa usare modelli linguistici per redigere testi di phishing, tradurre esche in un testo fluente nella lingua del bersaglio e generare contenuti di impersonificazione convincenti. In passato, queste attività richiedevano un notevole sforzo manuale e producevano spesso errori grammaticali che i difensori utilizzavano per identificare le comunicazioni fraudolente.

Le autorità statunitensi hanno inoltre segnalato separatamente attività informatiche legate alla Corea del Nord e rivolte a obiettivi finanziari e di asset virtuali attraverso un avviso congiunto di cybersecurity pubblicato dall’Internet Crime Complaint Center (IC3).

Perché crypto e finanza sono obiettivi primari

Le organizzazioni del settore delle criptovalute e della finanza combinano asset di alto valore, rapidamente trasferibili, con flussi di lavoro ricchi di identità. Questa combinazione le rende un obiettivo naturale per un attore focalizzato sul furto di credenziali e sull’accesso ai sistemi, in linea con precedenti incidenti attribuiti ad attaccanti nordcoreani contro piattaforme crypto. Un Panel di Esperti delle Nazioni Unite ha in precedenza riferito che attori nordcoreani hanno sottratto centinaia di milioni di dollari in asset digitali, fondi che sarebbero stati usati per compensare le sanzioni che gravano sull’economia del Paese.

L’IA riduce l’attrito per gli attaccanti consentendo a un singolo operatore di produrre più messaggi, in più lingue, con una qualità apparente più elevata. Questa scalabilità può aumentare i tassi di successo delle campagne di social engineering senza richiedere ulteriore personale. Microsoft e OpenAI hanno separatamente documentato casi in cui attori legati a Stati hanno sperimentato modelli linguistici di grandi dimensioni per ricerca, traduzione e generazione di contenuti, collocando l’adozione di Kimsuky in una tendenza più ampia di uso avversario dell’IA.

I ruoli più a rischio

Le posizioni più esposte a queste campagne potenziate dall’IA sono quelle con accesso privilegiato o responsabilità di comunicazione verso l’esterno. Tra queste figurano dirigenti, personale del tesoro e dei pagamenti, team di compliance e addetti alle relazioni con gli investitori. Compromettere uno qualsiasi di questi ruoli può portare al furto di credenziali, all’accesso ai wallet o a frodi nei pagamenti.

La tecnica richiama altre recenti campagne di social engineering contro utenti crypto, incluse segnalazioni secondo cui un altro gruppo legato alla Corea del Nord avrebbe usato finte riunioni su Zoom e Teams per colpire utenti di criptovalute. L’IA rende tali approcci più economici e più facili da scalare.

Raccomandazioni difensive immediate

I difensori dovrebbero considerare sospetti i messaggi in ingresso indipendentemente dalla qualità della lingua, poiché esche fluide e ben formattate non sono più un indicatore di legittimità. Tra le misure consigliate figurano l’autenticazione multifattore resistente al phishing, la verifica fuori banda per i movimenti di fondi e controlli più rigorosi sugli account privilegiati.

L’uso del sistema finanziario da parte della Corea del Nord per ricavi illeciti ha attirato ripetute azioni degli Stati Uniti, comprese le sanzioni del Tesoro legate alle attività cyber e agli asset virtuali del Paese.